Progress MOVEit Transfer の認証不備（なりすましの恐れ）

Critical（CVSS 9.8）に分類されるProgress Software MOVEit Transferの脆弱性です。Progress MOVEit Transfer に不適切な認証（CWE-287）の欠陥がある。NVD の記述は「Improper Authentication vulnerability in Progress MOVEit Transfer」の一文で、どの認証経路の判定が甘いのかは公開されていない。ファイル転送製品の認証の欠陥は、成立すれば預けたファイルの機密性と完全性に直結するため、詳細が出ていない段階でも優先度は高く見ておくのが妥当である。影響範囲は同日公開の2件と同じで、2025.1.5 より前のすべての版と、2026.0.0 以上 2026.0.3 未満。修正版は 2025.1.5 と 2026.0.3。CVSS は評価元で割れており、NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の Progress は 7.5 High（CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）である。差は攻撃元の位置で、Progress は隣接ネットワーク（AV:A）からしか成立しないとし、NVD はネットワーク越し（AV:N）とする。Progress の評価が正しければ同一セグメントへの足がかりが前提になるが、利用者側で確かめる手段は無いため、外部公開しているホストは NVD 側の前提で扱うのが安全である。CISA KEV には未収載、ランサムウェア利用の報告も無い。NVD の vulnStatus は Analyzed。

判定は版の確認である。2025.1.5 より前、または 2026.0.0 以上 2026.0.3 未満なら該当する。この CVE は同日公開の CVE-2026-15966・CVE-2026-15967 と影響版がまったく同じなので、実務上は3件を1回の更新でまとめて処理する形になり、個別に追う必要はない。棚卸しでは、外部公開しているノードだけでなく、内部の管理用ノード、クラスタの全ノード、災対の待機系、検証環境を対象にする。特にこの件は Progress の評価が隣接ネットワークからの攻撃を前提にしているため、内部セグメントに置いてあるから安全という判断が成り立たない。むしろ社内から到達できるノードこそが評価どおりの対象になる。すぐに更新できない場合、公開情報に個別の緩和策の記載は無いので、認証の前段で層を増やす方向でしのぐ。具体的には、多要素認証を必須にする、転送ポータルへの到達元を取引先の固定 IP に限定する、管理系インターフェースは VPN や踏み台の内側だけに置く、そして MOVEit を置いているセグメントを他の業務セグメントから分離して隣接からの試行を減らす、という手になる。加えて、認証の欠陥は成立しても痕跡が「正規のログイン」として残るため、更新前の期間については、見慣れない利用者名でのログイン、業務時間外の一括ダウンロード、管理者アカウントの追加や権限変更をログで確認しておくとよい。完了条件は、（1）全ノードが 2025.1.5 以降または 2026.0.3 以降であること、（2）更新前の期間のログを一度見て不審なログインが無いことを確認したこと、この2点である。KEV 未収載なので是正期限は無い。

Progress Software MOVEit Transfer を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-10697）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。